Intelligenza artificiale e privacy: cosa sapere prima di usarla in azienda

Incollare un contratto in un chatbot per farselo riassumere richiede pochi secondi. Ma in quei pochi secondi i dati di un cliente, di un fornitore o di un dipendente possono uscire dall'azienda e finire su sistemi di cui non si conoscono le regole. Per questo, prima di diffondere l'intelligenza artificiale tra i colleghi, conviene fermarsi a definire alcune regole sulla privacy.

Non serve rinunciare agli strumenti più utili: serve sapere che cosa si può fare, con quali strumenti e con quali precauzioni.

Che cosa succede ai dati che scrivi

Quando usi un assistente di intelligenza artificiale, il testo che scrivi e i documenti che alleghi vengono inviati ai server del fornitore per essere elaborati. Che cosa succede dopo dipende dal servizio e dal piano che stai usando. Le domande da porsi sono tre:

• I dati vengono conservati? Per quanto tempo e per quale scopo?
• I dati vengono usati per addestrare i modelli? In molti servizi per i consumatori questa è l'impostazione predefinita, che si può disattivare; nelle versioni per aziende di solito è esclusa per contratto.
• Dove vengono trattati? Il trasferimento di dati personali fuori dall'Unione europea richiede garanzie specifiche.

Le risposte si trovano nelle condizioni d'uso e nell'informativa privacy del fornitore. Vale la pena leggerle prima di adottare uno strumento in azienda, non dopo.

Il GDPR vale anche per l'intelligenza artificiale

Se nei testi inviati compaiono dati personali, come nomi, email, informazioni su clienti o dipendenti, il trattamento ricade nel Regolamento generale sulla protezione dei dati. I principi sono quelli di sempre. Il primo è avere una base giuridica per il trattamento. Il secondo è la minimizzazione, cioè usare solo i dati necessari. Il terzo è informare le persone interessate.

Quando un fornitore tratta dati personali per conto dell'azienda serve un accordo sul trattamento dei dati, previsto dall'articolo 28 del GDPR. I servizi pensati per le aziende lo mettono normalmente a disposizione; le versioni gratuite per i consumatori in genere no. È uno dei motivi per cui, per l'uso professionale, conviene scegliere piani aziendali.

Che cosa non inserire mai senza verifiche

Una regola semplice, comprensibile da tutti, protegge più di un documento di dieci pagine. Questi dati non vanno mai inseriti in uno strumento che non sia stato approvato espressamente per trattarli:

• dati sanitari, giudiziari o altre categorie particolari di dati personali;
• password, chiavi di accesso e credenziali di qualunque tipo;
• dati bancari e di pagamento;
• informazioni coperte da accordi di riservatezza;
• documenti interni strategici non ancora pubblici.

Spesso basta poco per lavorare in sicurezza: sostituire nomi e riferimenti con segnaposto come "Cliente A" o "Fornitore B" prima di incollare il testo. Il modello lavora altrettanto bene e i dati restano in azienda.

Una policy interna in cinque punti

Per una piccola o media impresa può bastare una pagina che risponda a cinque domande:

1. Quali strumenti sono approvati e con quale piano o account.
2. Quali dati si possono inserire e quali sono esclusi.
3. Quando serve una revisione umana, per esempio per tutto ciò che va ai clienti o viene pubblicato.
4. Come si segnalano problemi, come un dato inserito per errore o un risultato scorretto.
5. Chi è il riferimento per dubbi e nuove richieste.

Una policy di questo tipo aiuta anche a rispettare l'AI Act europeo, che dal febbraio 2025 chiede alle organizzazioni di garantire un livello adeguato di alfabetizzazione sull'intelligenza artificiale per chi la utilizza.

Quando conviene una soluzione dedicata

Se l'azienda deve elaborare con regolarità dati sensibili, per esempio documenti di clienti, pratiche o cartelle, gli strumenti generici possono non bastare. In questi casi si può valutare un modello che giri su infrastrutture controllate, presso un fornitore europeo che escluda contrattualmente l'uso dei dati per l'addestramento, oppure su server dell'azienda. È una scelta da fare caso per caso, valutando costi, rischi e benefici.

La privacy non è un freno all'adozione dell'intelligenza artificiale, ma la condizione per usarla con fiducia: dei clienti, dei collaboratori e dell'azienda stessa.